Una vulnerabilità critica, battezzata PixelSmash, ha colpito il cuore di FFmpeg, uno dei framework per la gestione video più diffusi al mondo. Il bug, identificato come CVE-2026-8461, risiede nel decoder MagicYUV all'interno della libreria core libavcodec e potrebbe consentire a un attaccante di eseguire codice remoto (RCE) o causare il crash completo del sistema tramite Denial-of-Service (DoS).
L'origine tecnica della falla
Secondo l'analisi condotta dai ricercatori di JFrog, il problema nasce da un'incoerenza nel modo in cui il decoder MagicYUV gestisce le cosiddette "slice", ovvero regioni indipendenti di un frame video. Nello specifico, si è verificato un errore nel calcolo dell'altezza del piano chroma tra l'allocatore di frame e il decoder, portando a un heap out-of-bounds write (scrittura fuori dai limiti del buffer di memoria).
Il vettore d'attacco è estremamente semplice: è sufficiente che un utente o un sistema automatizzato apra un file video malevolo nei formati AVI, MKV o MOV. Il rischio non è limitato alla riproduzione attiva; la falla può essere innescata anche durante la semplice generazione di anteprime (thumbnail) o attraverso pipeline automatizzate di ingestione media.
Software a rischio e scenari d'attacco
L'impatto è vasto poiché ogni applicazione che si appoggia a libavcodec con il decoder MagicYUV abilitato è potenzialmente vulnerabile. Tra i software esplicitamente citati figurano Kodi, OBS Studio, PhotoPrism, Emby e Nextcloud.
Particolarmente critico è il caso di Jellyfin, dove i ricercatori di JFrog hanno dimostrato la possibilità di ottenere una RCE completa. In questo scenario, il caricamento di un file AVI contraffatto attiva automaticamente ffprobe per l'estrazione dei metadati, permettendo all'attaccante di dirottare la funzione AVBuffer.free verso l'esecuzione di comandi arbitrari con i privilegi dell'utente del servizio.
Le difese e le mitigazioni
Nonostante la gravità, con un punteggio di severità di 8.8, l'esecuzione remota del codice non è banale in ogni contesto. Per concretizzare la RCE, l'attaccante deve riuscire a bypassare le protezioni ASLR (Address Space Layout Randomization). Sebbene la CVE-2026-8461 non permetta di superare autonomamente questa difesa, i ricercatori ipotizzano che possa essere combinata con un altro bug di disclosure delle informazioni presente nel decoder FlashSV per neutralizzare l'ASLR.
Sebbene non siano stati testati formalmente, il report evidenzia come anche piattaforme di messaggistica quali Slack, Discord, Telegram e WhatsApp potrebbero essere esposte, dato l'utilizzo di FFmpeg per la generazione lato server delle anteprime video.
Ancora nessun commento. Puoi essere il primo!